fix(assistant): semantic_search през native Vectorize namespace вместо metadata филтър

[nedda76]

Closes #317

Какво

semanticSearch минава от filter: { ns: 'entity' } към native Vectorize namespace (ENTITY_NS = 'entity-v1') — последната употреба на metadata филтър в RAG модула изчезва.

Защо

Vectorize зачита metadata филтри само върху свойства с провизиран metadata index (wrangler vectorize create-metadata-index), а репото не провизира нито един. Върху реален индекс филтрираната заявка греши или под-филтрира — тихо, защото извикващите поглъщат грешката. Native namespace-ът не изисква индекс и се прилага преди всякакви филтри. Схема-страната мина на същия модел в #223; това изравнява entity-страната.

Entity корпус никога не е индексиран (indexer-ът е „Какво остава" от Фаза 2), така че няма legacy кохорт за миграция.

От ревюто (второ комитче)

• Header-ът на модула вече не твърди, че FTS инструментът search_entities съществува (само спецификация е).
• Правилото „WHEN TO BUMP" изрично НЕ се пренася върху entity корпуса — той е производен от данните и бъдещият indexer се нуждае от собствен reconciliation/delete път.
• metadata.ns е маркиран като форензично поле — НЕ филтруемо.
• semanticSearch деградира match без score до 0 вместо TypeError в tools.ts (+ тест).
• Namespace тестовете коват и броя на заявките (toHaveBeenCalledTimes(1)), за да не може filter-базиран retry да мине зелен.

Стак

Стъпва върху #223 (fix/assistant-integrity-grounding) — за ревю са последните 2 комита (612ed88, ceb1942); останалото е диффът на #223, който ще изчезне след мърджа му. Ред на мърдж: #223 → този PR.

Проверено

tsc -b чист, 182/182 теста на assistant пакета, Prettier чист.

[ydimitrof]

Ревю на PR: fix(assistant): semantic_search през native Vectorize namespace вместо metadata филтър

Обща оценка: 9.5/10 — APPROVE (с една незадължителна, насочена към бъдещето бележка).

Фаза 0 — Сигурност (задължителна, блокираща): ЧИСТО ✅

• Няма твърдо кодирани тайни. BGGPT_API_KEY се подава само през wrangler secret put (интерактивно), README изрично отбелязва „никога не се комитва".
• Няма нови/съмнителни URL-и. @cf/baai/bge-m3 е Workers AI идентификатор на модел, не мрежов адрес.
• Няма зловредни шаблони (backdoors, инжекции, обфускация).
• Зависимости: единствената промяна е osv-scanner.toml — игнориране на GHSA-f88m-g3jw-g9cj (libvips CVE в sharp<0.35.0). Обосновката е коректна: транзитивна, само-dev зависимост през miniflare, извън разгърнатия Worker, без достъпна поправка в диапазона (^0.34.5), с ignoreUntil дата. ✅
• Подобрение на сигурността: в report-schema.ts резолвнатите колони вече се строят ЯВНО поле по поле вместо { ...c } — това спира пренасянето на непознати, модел-подадени свойства към рендера (validateEmitShape не отхвърля непознати ключове). Заедно с whitelist-а isAlign (left|right) това затваря вектор за атрибут-инжекция. Отлично.

Тестове (3.0/3.0) ✅

Изключително силно тестово покритие, писано да разкрива дефекти, не да минава тривиално:

• rag.test.ts пинва литерала schema-v2/entity-v1 (не SCHEMA_NS), така че bump-ът е съзнателен акт; проверява toHaveBeenCalledTimes(1) + expect.not.objectContaining({ filter }) — exhaustively изключва скрит filter-based fallback; покрива scoreless match и relevance floor.
• system-prompt.test.ts тества през реалния write→read seam (indexSchemaCorpus → retrieveSchemaContext → buildSystemPrompt) и гарантира, че всеки trap се рендира точно веднъж (регресията с двойно рендиране).
• sql-guard.test.ts, report-schema.test.ts, emit-report-schema.test.ts покриват новите пътища (агрегати, магнитуден суфикс, cap-ове, align).

Код-качество (2.0/2.0) ✅

• renderTraps() е споделен между describeSchema() и hardTraps() — премахва дублиране и drift на trap-текста между двата пътя (изпълнява NO CODE DUPLICATION).
• Промяната от /милиард|милион/ към суфиксите /илион|илиард/ е коректна (мил-ион ⊃ илион, мил-иард ⊃ илиард), затваря реда нагоре (квинтилион/секстилион) вместо ръчен списък; свръх-флагването е в безопасната посока за gate.
• sql-guard разширението (group_concat/string_agg/json_group_array/json_group_object) коректно адресира същия OOM-amplification клас като printf. Заслужава похвала честната бележка, че denylist-ът е catch-up игра и allowlist е трайната поправка.

Документация (2.0/2.0) ✅

README е обстоен: правилото „WHEN TO BUMP", версионираният native namespace, rollback-семантиката (нов кохорт до стария), безопасният fallback (0 чънка → пълен статичен речник) и предупреждението, че entity корпусът е data-derived и НЕ следва append-only bump правилото. Ясен операционен runbook преди deploy.

Производителност (2.0/2.0) ✅

• MIN_SCHEMA_SCORE floor предотвратява „частично grounding, по-слабо от no-RAG" — реален коректностен и качествен gain.
• Native namespace изключва stale кохорти на източника (никакви пропилени topK слотове), без нужда от provisioned metadata index.
• sql-guard спира single-row OOM на изолата.

Security (agent-level, 1.0/1.0) ✅

Няма нови уязвимости; входната валидация и error handling са затегнати.

Дребни / незадължителни бележки (не блокират)

1. Асиметрия във floor-а (вж. inline): retrieveSchemaContext има MIN_SCHEMA_SCORE, но semanticSearch няма релевантен праг — само деградира липсващ score до 0. Днес е безвредно (entity namespace е празен по дизайн), но когато entity indexer-ът от Фаза 2 напълни корпуса, нискорелевантни попадения ще стигат до модела като „hits". Препоръка: симетричен праг при активиране на индексера.
2. Почистване на стар кохорт е ръчно: wrangler vectorize delete-vectors иска изричен списък id-та, възстановими от git историята на buildSchemaChunks — крехко, но документирано и небезопасно само при преждевременно триене (rollback остава без RAG). Приемливо за v1.
3. Структурни типове vs реални bindings: коментарът честно отбелязва, че as unknown as кастът в route-а скрива drift от tsc спрямо worker-configuration.d.ts — заслужава внимание при бъдещи промени по VectorIndex.

CLAUDE.md съответствие: без частични имплементации, без TODO-симплификации, без дублиране, без мъртъв код, смислени тестове, консистентно наименуване, разделени концерни. Промяната е атомарна и фокусирана върху единствен концерн (native namespace миграция + свързаните hardening follow-up-и от предходни ревюта).

Препоръка: APPROVE — може да се мърдж-не безопасно; бележка №1 да се адресира заедно с entity indexer-а във Фаза 2.

[ydimitrof]

Ревю на PR: fix(assistant): semantic_search през native Vectorize namespace

Фаза 0 — Сканиране за критична сигурност: ЧИСТО ✅

• Твърдо кодирани тайни: няма. BGGPT_API_KEY навсякъде се третира като wrangler secret и изрично „никога не се комитва".
• URL промени: няма нови URL-и; @cf/baai/bge-m3 е име на Workers AI модел, не мрежов адрес.
• Зловредни шаблони: няма backdoor/eval/обфускация.
• Промени в зависимости: няма нови пакети. osv-scanner.toml добавя потискане на CVE (sharp <0.35.0, GHSA-f88m-g3jw-g9cj) — обосновката е коректна (транзитивна dev-only зависимост през miniflare, не влиза в деплойнатия Worker; няма upstream fix в диапазона) и има ignoreUntil, който ще я извади наяве. Прието.

Резултат: не се блокира. Преминаваме към пълно ревю.

Обобщение по измерения

Архитектура / коректност (силно): Смяната от metadata filter: { ns } към native Vectorize namespace е правилният подход — native namespace-ите работят без provisioned metadata индекс (issue #317) и изключват стари кохорти на ниво заявка, вместо да хабят topK слотове. Версионирането в namespace-а И в id-тата (schema-v2:) прави ре-индекса cohort-safe спрямо Worker rollback. Правилото „WHEN TO BUMP" е ясно документирано и разграничението, че за entity-корпуса (data-derived) то НЕ важи едно към едно, е точно.

Сигурност (agent-level):

• sql-guard.ts — добавянето на group_concat/string_agg/json_group_array/json_group_object към денилиста затваря реален клас на memory-amplification (цял scan → една клетка преди capRows). Правилно е разпознат string_agg като SQLite ≥3.44 синоним. Забележката, че позитивен allowlist е трайното решение, е коректна.
• emit-report-schema.ts — таваните за масиви (MAX_BLOCKS/ITEMS/COLUMNS) + short-circuit преди per-item scan-а е добра защита срещу необвързан вход; isAlign whitelist предотвратява out-of-enum стойност да стигне до renderer, който я интерполира в атрибут/стил.
• report-schema.ts — експлицитното изграждане на колоните (вместо spread) блокира преминаването на непознати model-supplied ключове; суфиксният шаблон -илион/-илиард затваря магнитудите нагоре. Приемането на near-collision (напр. „Илион") е съзнателен fail-toward-flagging избор — приемливо.

Тестове: Много силно покритие — floor-филтъра, scoreless match, exhaustive corpus-length проверка (никой trap chunk не се преиндексира), и композиционен тест през реалния write→read seam (indexSchemaCorpus → retrieveSchemaContext → buildSystemPrompt) с проверка „всеки trap се рендира точно веднъж". Тестовете са смислени, не тривиални.

Документация: README-секцията за ре-индексиране и почистване на стари кохорти е изчерпателна и обвързва операционните последствия (rollback прозорец) с кода.

Забележки (незадължителни)

1. Натрупване на orphan вектори: старите schema:* вектори (default namespace) остават в индекса завинаги след bump. Безвредни за retrieval (namespace ги изключва), но растат разхода/размера. README го признава като „не е задължително" почистване — ОК, но си струва проследяване в беклога.
2. MIN_SCHEMA_SCORE/MIN_ENTITY_SCORE = 0.35 са консервативни и добре обосновани; тъй като entity-корпусът е още непопълнен, стойността е неизбежно неоткалибрирана до първите реални данни — предвидете преразглеждане при пускане на entity indexer-а.

Вердикт

Няма блокиращи или критични находки. Кодът е чист, добре тестван и добре документиран. Слагам COMMENT вместо APPROVE само защото quality-gate изисква реално изпълнение на тестовия пакет (pnpm --filter web test) и typecheck, което не мога да изпълня в тази среда — препоръчвам APPROVE след потвърждение, че CI е зелен.

[ydimitrof]

Ревю на PR: fix(assistant): semantic_search през native Vectorize namespace вместо metadata филтър

Обобщение

PR-ът мигрира scoping-а на RAG извличането от metadata filter: { ns } към native Vectorize namespaces (schema-v2, entity-v1), премахва зависимостта от несъществуващ metadata index (#317), въвежда версиониране на корпуса, relevance floor за двата пътя (MIN_SCHEMA_SCORE / MIN_ENTITY_SCORE), изважда DATA_TRAPS от векторния корпус и ги инжектира безусловно чрез hardTraps(). Придружен е от подсилване на sql-guard, emit-report-schema капове, разширяване на prose-number gate-а и osv-scanner ignore за dev-only sharp CVE.

Обща оценка: ~9.4/10 — препоръка APPROVE. Промяната е атомарна, добре мотивирана и изключително добре покрита с тестове. Не открих блокиращи проблеми.

Phase 0 — Security-Critical Scan: CLEAN

• Hardcoded secrets: няма. BGGPT_API_KEY се борави само през wrangler secret put (документирано, интерактивно, некомитвано).
• URL промени: няма нови външни URL-и; @cf/baai/bge-m3 е Workers AI capability, не мрежов ендпойнт.
• Malicious patterns: няма backdoor/обфускация/eval.
• Dependencies: няма нови пакети; osv ignore за GHSA-f88m-g3jw-g9cj е за транзитивен dev-only sharp през miniflare, извън деплойнатия Worker, с ignoreUntil дата и ясен REMOVE WHEN — обосновката е коректна.

Security (agent-level): силна

• sql-guard разширява денилиста с string-building агрегати (group_concat/string_agg/json_group_array/json_group_object) — реален memory-amplification клас, спрян преди capRows. Затварянето на quoted-identifier байпаса ("group_concat"(x), [..], `..`) е точна находка. Регексът fail-ва към флагване, което е правилната посока.
• emit-report-schema: isAlign whitelist + експлицитното изграждане на колони в report-schema.ts (без { ...c }) премахва канал за пропускане на непроверени model-полета към рендера — добро defense-in-depth срещу attribute/style injection.
• Prose-number gate: покриването на -илион/-илиард суфиксите (вместо явен списък) затваря defamation-scale вектора нагоре; над-флагването на „Илион/Троя" е приемливо за register-а.

Tests: отлични

• Всеки нов клон има целеви тест: namespace литерали пиннати (умишлено не през константата), relevance floor (над/под/scoreless), cap short-circuit, quoted-identifier байпас, композиционен тест през реалния write→read seam с проверка „всеки trap точно веднъж". Тестовете са смислени, не тривиални.
• Забележка: не изпълних тестовия пакет в тази среда (typecheck/pnpm --filter web test не са пуснати) — валидацията стъпва на статичен прочит на diff-а. Preмерджа потвърдете зеления пакет.

Code Quality / CLAUDE.md: съответства

• renderTraps() премахва дублиране между describeSchema() и hardTraps() — единен източник, не могат да дрейфнат.
• Няма partial impl / TODO / dead code; коментарите документират инвариантите (WHEN TO BUMP, forensic-only metadata) добре.

Незначителни наблюдения (non-blocking) — виж inline коментарите

1. Регекс-денилистът е по своята същност догонваща игра; positive allowlist остава трайното решение (вече е трекнато).
2. Миграционен detail за orphan вектори в default namespace от евентуално предишно индексиране — уверете се, че README cleanup пътят го покрива.

Performance: без регресии

Relevance floor намалява шума в prompt-а; native namespace изключва stale кохорти на ниво индекс (не хаби topK слотове). Няма нови N+1 или неограничени скани — каповете (MAX_BLOCKS/ITEMS/COLUMNS) добавят горна граница там, където преди нямаше.

Documentation: пълна

README покрива ре-индексиране, версиониране, rollback прозорец и разликата entity-vs-schema BUMP правилото. Точно и актуално.